Azure IP srauto patikra sako leidžiama, bet VPN vis tiek nepavyksta

Svetainės-svetainės tunelis prijungtas, VM sveika, o vietinis klientas nieko negauna. Atidarote Network Watcher, paleidžiate IP srauto patikrą ir ji sako Access allowed, todėl bilietas uždaromas kaip VPN problema. Šis rezultatas nereiškia to, kaip atrodo, nes IP srauto patikra vertina aprašyto srauto saugos taisykles ir niekada netikrina, ar Azure turi maršrutą į jūsų vietinį prefiksą.

Filtravimo klausimas ir maršruto klausimas yra atskiri, ir Network Watcher į juos atsako skirtingais įrankiais. Žinojimas, kurį uždavėte, yra didžioji diagnostikos dalis.

Ką IP srauto patikra iš tikrųjų nusprendžia

IP srauto patikra paima VM, tinklo sąsają, kryptį, penketo reikšmes ir protokolą, tada praneša to srauto NSG ir saugos administratoriaus taisyklės sprendimą. Ji veikia su TCP ir UDP, todėl nėra ICMP taisyklių testeris ir užblokuotas ping nieko neįrodo apie jūsų paslaugą. Duokite jai tikrą srautą, o ne spėjimą. Įeinanti jungtis iš vietinės aplinkos į duomenų bazės prievadą yra kitas aprašymas nei išeinanti jungtis, kurią inicijuoja VM.

Jei šliuzas verčia adresus, naudokite šaltinio adresą, kuris pasiekia vertinamą ribą, o ne tą, kuris yra kliento konfigūracijoje. Rezultatą skaitykite ir tokį, koks jis yra. Access allowed reiškia, kad filtro sluoksnis praleistų paketą, jei jis atvyktų, ir nieko daugiau.

Ko ji negali pasakyti, tai maršrutas, kurį pasirinko Azure, ar svečio užkarda leidžia prievadą, ar kas nors klausosi. Tai gyvena kituose sluoksniuose.

Ką prideda kitas šuolis ir efektyvūs maršrutai

Kitas šuolis atsako į persiuntimo klausimą: šiam tikslui kokį kito šuolio tipą Azure pasirenka, kokiu adresu, iš kurios maršrutų lentelės. Efektyvūs maršrutai išvardija, ką NIC iš tikrųjų turi. Paleiskite abu ir gausite Azure pusės kelią, kurį žalia IP srauto patikra palieka tuščią.

Microsoft IP srauto patikros apžvalga tiesiogiai nurodo filtravimo apimtį, o kito šuolio ir maršrutų diagnostikos puslapiai apima persiuntimo pusę. Cituokite tinkamą puslapį, kai rašote išvadą.

Komandos pakankamai trumpos, kad jas paleistumėte iš apvalkalo. az network nic show-effective-route-table išvardija sąsajai taikomus maršrutus. az network watcher show-next-hop su šaltiniu ir tikslu grąžina pasirinktą šuolį. Palyginkite jums svarbų prefiksą su ta lentele, tada patvirtinkite, kuris įrašas laimi.

Pereikite grįžimo kelią nuo VM NIC

Darykite tai iš tikslinės VM NIC, vietinio kliento prefiksui, o ne internetui. Grįžimo kelias yra ten, kur slepiasi svetainės-svetainės gedimai, nes tunelio būsenos patikra tik praneša, kad saugos asociacijos pakeltos.

Jei laukiamo maršruto nėra, patikrinkite nuotolinius prefiksus, kuriuos teikia šliuzo konfigūracija, VNet jungiamumo dizainą ir bet kokį maršrutų platinimo nustatymą. Vietinio tinklo šliuzo objektas aprašo vietinę pusę; jo buvimas neįrodo, kad kiekvienas reikalingas prefiksas yra NIC ir yra pageidaujamas. Tai skirtingi faktai, ir tik vienas jų rodomas portalo suvestinėje.

Skaitykite kito šuolio tipą, o ne kopijuokite pavyzdį

Valdomo VPN šliuzo kelias paprastai rodo VirtualNetworkGateway kaip kito šuolio tipą. VirtualAppliance aprašo kitokį persiuntimo dizainą, paprastai užkardą arba tinklo virtualų įrenginį.

Nekurkite įrenginio maršruto į spėjamą VPN galinį tašką tik todėl, kad sena forumo atsakymas naudojo tą tipą. Jei vartotojo apibrėžtas maršrutas pakeičia numatytą kelią, prieš keisdami raskite jo savininką ir paskirtį. Antra NIC taip pat gali pakeisti, kurią sąsają naudoja svečias, o jos pašalinimas gali sugadinti kitą paslaugą, o ne pataisyti šį maršrutą.

Pereikite prie ribos, kuri vis dar nepavyksta

Kai filtravimas ir maršrutizavimas abu atitinka dizainą, gedimas yra kitur. Patikrinkite paties svečio maršrutų lentelę, jo užkardą ir ar klausytojas susietas su laukiamu adresu. Tada patikrinkite VPN apsaugotus srauto selektorius ir vietinį atsakymo kelią. Kiekvienas jų yra atskiras testas su atskiru rezultatu.

Užbaikite leidžiama programos užklausa ir abiejų galų stebėjimais. Leidimo rezultatas ir teisingas kitas šuolis yra du įrodymo gabalai, o ne įrodymas, kad ryšys pavyko.